Política de privacidad

• Recopilamos solo lo necesario para prestar el servicio, cumplir una obligación legal o por nuestro interés legítimo de mejorar el producto.
• No vendemos datos personales. Nunca.
• No usamos datos de clientes para entrenar modelos de IA fuera del ámbito de ese cliente.
• A una cuenta de Google (Gmail, Google Drive) solo se accede si la conectas — y puedes desconectarla cuando quieras. Detalles en la sección 10.
• Un asistente de IA (ChatGPT y otros) solo llega al Hub si lo autorizas — y puedes revocarlo cuando quieras. Detalles en la sección 11.
• A un canal de YouTube solo se accede si la empresa lo conecta y activa cada función. Detalles en la sección 12.
• A una cuenta de Instagram solo se accede si la empresa la conecta — y puede desconectarla cuando quiera. Detalles en la sección 13.
• Puedes solicitar acceso, corrección, eliminación o portabilidad de tus datos en cualquier momento.
• Nuestro DPO atiende en fy@simplafy.com.br, con un plazo de 15 días.

SIMPLAFY LTDA, CNPJ (identificación fiscal de Brasil) 41.209.892/0001-12, con sede en SAUS Quadra 4, Bloco A, Sala 513, Asa Sul, Brasília/DF, Brasil, es la responsable de los datos personales recopilados en su sitio web y en sus productos institucionales.

Para los datos ingresados por los clientes en la Plataforma (mensajes de pacientes, historias clínicas, contactos comerciales), Simplafy actúa como encargada del tratamiento, procesando los datos según las instrucciones documentadas del Cliente.

• Prestar los servicios contratados (operación de la Plataforma, soporte, facturación);
• Cumplir obligaciones legales (fiscales, regulatorias, judiciales);
• Comunicar actualizaciones, mantenimientos y novedades del producto;
• Mejorar la Plataforma con base en métricas agregadas y anonimizadas;
• Prevenir fraudes y abusos.

• Ejecución de contrato — operación de la Plataforma y atención;
• Cumplimiento de obligación legal — emisión de NF-e, retención fiscal;
• Interés legítimo — seguridad, prevención de fraudes, mejora del producto mediante datos agregados, y contacto comercial con quien creó una cuenta en la Plataforma (ver la sección 7), siempre con derecho de oposición;
• Consentimiento — comunicaciones de marketing (siempre revocable) y conexión de cuentas de terceros, como Google o Instagram (siempre revocable);
• Tutela de la salud — cuando aplique a datos sensibles en Simplafy Saúde, bajo la orientación de un profesional habilitado.

Compartimos datos estrictamente con encargados y socios esenciales para la prestación del servicio, todos bajo contrato de confidencialidad y cláusulas de la LGPD:

• Proveedores de infraestructura en la nube en Brasil y Europa, fuera de clústeres de hiperescala compartidos;
• Pasarelas de mensajería (Meta/WhatsApp, Twilio);
• Google LLC (APIs de Gmail y de Google Drive) — solo para las cuentas que el propio usuario conecte;
• Google LLC (YouTube API Services) — solo para los canales que la empresa conecte; las respuestas que ella publica van a YouTube (ver la sección 12). Cuando la empresa activa el asistente de IA en el canal, el texto del comentario se envía al proveedor del modelo de IA elegido por la empresa (gestionado por Simplafy o con la clave de la propia empresa), solo para generar la respuesta de esa atención, sin usarlo para entrenar modelos;
• Meta Platforms (Instagram) — solo para las cuentas que la empresa conecte; las respuestas enviadas desde el Hub van a Instagram (ver sección 13);
• El proveedor del asistente de IA que el propio usuario conecte (p. ej., OpenAI, en el caso de ChatGPT) — solo los datos que el asistente consulte, por instrucción del usuario (ver la sección 11);
• Pasarelas de pago (Stripe, Pagar.me);
• Herramientas internas (CRM, helpdesk, monitoreo);
• Autoridades, mediante orden judicial o requerimiento legal válido.

Los datos se procesan en entornos de nube en Brasil y Europa. Cuando hay transferencia internacional (p. ej., herramientas alojadas en el exterior), aplicamos cláusulas estándar y/o el encuadre en las hipótesis del art. 33 de la LGPD.

• Datos de registro activos: mientras dure la relación contractual;
• Cuenta creada en Simplafy Hub sin elegir ningún plan: se elimina 30 días después del registro, con aviso por correo electrónico el 3.º y el 25.º día; la cuenta en el plan Livre (Gratuito) no se elimina por este motivo;
• Contacto comercial de quien creó una cuenta en Simplafy Hub: permanecen en el CRM de Simplafy solo el nombre, el correo electrónico y el teléfono, junto con la etapa de la relación (se registró, es cliente o terminó), mientras haya relación comercial, incluso después de que la cuenta se cierre o se elimine. Ningún otro dato permanece en el CRM. Puedes solicitar la eliminación en cualquier momento por el canal de la sección 14;
• Datos fiscales: 5 años después del hecho generador (Decreto 7.212/2010);
• Registros de seguridad: 6 meses (Marco Civil, art. 15);
• Copias de seguridad: rotación de 90 días.

La LGPD te garantiza los derechos de:

• Confirmación de la existencia de tratamiento;
• Acceso a los datos;
• Corrección de datos incompletos, inexactos o desactualizados;
• Anonimización, bloqueo o eliminación;
• Portabilidad;
• Eliminación de los datos tratados con base en el consentimiento;
• Información sobre la compartición;
• Revocación del consentimiento.

Para ejercerlos, accede al canal LGPD.

Usamos cookies esenciales (autenticación, preferencias) y analíticas (métricas agregadas). Puedes gestionar tus preferencias en /preferencias-de-cookies.

Simplafy Hub permite que un usuario conecte su propia cuenta de Google para usar Gmail como canal de atención (recibir y responder correos desde dentro del Hub, incluso con apoyo del agente de IA de la organización) y para importar archivos de Google Drive a la base de conocimiento. Esta sección describe, de forma específica, qué hacemos con los datos de esas cuentas. Nada de lo descrito aquí ocurre sin que el usuario conecte la cuenta mediante la pantalla de autorización del propio Google.

10.1. A qué accedemos

10.2. Cómo los almacenamos

• Las credenciales de acceso (tokens OAuth) se almacenan cifradas (AES-256-GCM) en los servidores de Simplafy y nunca se muestran a nadie, ni siquiera a los administradores de la organización.
• Los correos recibidos por el canal y los archivos importados de Drive pasan a formar parte del Contenido del Cliente de esa organización, bajo las mismas reglas de retención, eliminación y seguridad de esta Política y de la página de seguridad.
• A partir de la conexión, los mensajes nuevos que llegan al buzón conectado se copian a la Plataforma, con archivos adjuntos de hasta 10 MB. Los mensajes anteriores a la conexión no se importan.

10.3. Uso limitado — lo que no hacemos

El uso y la transferencia, por parte de Simplafy, de la información recibida de las APIs de Google — incluidos Gmail, Google Drive y la YouTube Data API — cumplen la Política de Datos de Usuario de los Servicios de API de Google, incluidos los requisitos de Uso Limitado (Limited Use). En la práctica, para todas estas cuentas:

• Usamos los datos únicamente para ofrecer y mejorar las funcionalidades orientadas al usuario descritas arriba;
• No los vendemos, no los usamos para publicidad y no los transferimos a terceros, salvo subencargados necesarios para la prestación del servicio, por exigencia legal o con tu consentimiento;
• Ninguna persona de Simplafy lee el contenido de esos correos o archivos, salvo con autorización expresa del usuario, con fines de seguridad (p. ej., investigar un abuso) o por obligación legal;
• No usamos datos obtenidos de las APIs de Google para entrenar o perfeccionar modelos de IA generalistas. El agente de IA de la organización solo procesa esta información para responder la atención de esa misma organización.

10.4. Cómo desconectar

• En el Hub, en Canales, usa Remover canal en el canal de Gmail o quita la conexión del proveedor Gmail en el mismo panel; la conexión de Google Drive se quita en la Base de Conocimiento. A partir de ahí la Plataforma deja de acceder a la cuenta.
• Recomendamos revocar el acceso también en Google, en Cuenta de Google → Seguridad → Aplicaciones de terceros con acceso a la cuenta: esto invalida de inmediato la credencial guardada por Simplafy.
• Para eliminar correos y archivos ya importados, usa las herramientas de eliminación de la Plataforma o el canal LGPD.

Simplafy Hub permite que un usuario conecte un asistente de IA — como ChatGPT, Claude u otro compatible con el protocolo MCP — para consultar información y ejecutar tareas en el Hub conversando. La conexión solo ocurre después de que el usuario inicia sesión en el Hub y autoriza al asistente en una pantalla del propio Simplafy, eligiendo la organización y lo que el asistente puede hacer. El asistente nunca alcanza más de lo que ese usuario ya alcanza en el Hub. Reglas completas en la página Simplafy MCP.

11.1. Datos que recopilamos por esta vía

• Registro del asistente: nombre informado por el propio asistente, direcciones de retorno de la autorización y permisos que puede solicitar.
• Autorización: qué usuario autorizó, en qué organización, con qué rol, qué permisos se concedieron y cuándo vence cada credencial. Las credenciales en sí no se guardan: guardamos solo un resumen criptográfico (hash) que permite reconocerlas.
• Registro de operaciones: por cada acción del asistente, guardamos qué credencial y usuario actuaron, la organización, la herramienta usada, si fue lectura o modificación, el resultado, la cantidad y los identificadores de los registros alcanzados (hasta 50 por operación), el momento y el tiempo de respuesta. De los parámetros enviados, guardamos solo identificadores, filtros y paginación — nunca texto libre, como observaciones o descripciones. El contenido de las respuestas enviadas al asistente no se guarda en este registro.

11.2. Para qué lo usamos

• Verificar, en cada llamada, que el asistente sigue autorizado y dentro de los permisos concedidos;
• Permitir que el usuario y la organización vean y revoquen las conexiones activas;
• Seguridad, investigación de abusos y rendición de cuentas a la organización sobre lo que se hizo en su nombre.

11.3. Compartición con el proveedor de IA

Los datos que el asistente consulte salen de Simplafy y van al proveedor de IA que el usuario eligió (por ejemplo, OpenAI, en el caso de ChatGPT). A partir de ahí, el tratamiento se rige por los términos y la política de privacidad de ese proveedor, que Simplafy no controla. Estos datos pueden incluir datos personales de contactos y clientes de la organización. No enviamos nada al proveedor además de lo que el asistente solicita en nombre del usuario.

11.4. Retención

• Credencial de acceso: vale 15 minutos y el asistente la renueva automáticamente.
• Credencial de renovación: vale hasta 30 días y se cambia en cada uso. La conexión se mantiene mientras el asistente se use dentro de ese plazo, hasta que se revoque.
• Registro de operaciones: 12 meses; después se elimina mediante una rutina diaria automática.

11.5. Cómo revocar

• En el Hub, en Configurações → Meu perfil → Meus assistentes (Configuración → Mi perfil → Mis asistentes), usa Revogar (Revocar) en la conexión deseada. El asistente pierde el acceso a partir de ahí, sin esperar a que venza la credencial.
• Los administradores de la organización pueden ver y revocar las conexiones de todos los miembros y limitar qué roles y áreas del Hub alcanzan los asistentes, en Configurações → Controle de assistentes (Configuración → Control de asistentes).
• El propio asistente también puede terminar la conexión por la dirección estándar de revocación (/api/oauth/revoke).
• Revocar detiene el acceso futuro, pero no alcanza los datos ya enviados al proveedor de IA: para esos, usa los controles y canales de ese proveedor. Para solicitudes sobre tus datos en Simplafy, usa el canal LGPD.

Simplafy Hub usa los YouTube API Services. Al conectar un canal de YouTube, la empresa cliente autoriza al Hub a, solo en las funciones que ella active:

• leer los videos, las listas de reproducción, los comentarios de los videos y los mensajes del chat en vivo del canal;
• publicar respuestas a comentarios y mensajes en el chat en vivo en nombre del canal;
• agregar videos del canal a listas de reproducción del canal;
• retener, publicar o rechazar comentarios, eliminar mensajes del chat en vivo y silenciar a participantes del chat por hasta 24 horas.

Cada función de escritura nace desactivada y la activa la propia empresa. El Hub registra quién la activó, cuándo y con qué cuenta de Google.

12.1. Qué guardamos

El identificador y el nombre del canal conectado; el token de acceso, cifrado; y los comentarios y mensajes recibidos, que quedan en la bandeja de entrada de la empresa como registro de la atención. No creamos métricas a partir de los datos de YouTube y no vendemos ni compartimos estos datos con terceros para publicidad.

12.2. Por cuánto tiempo

Los datos obtenidos de la API de YouTube (texto de los comentarios, nombre del autor, título del video) se actualizan o eliminan en un plazo de hasta 30 días mientras el canal está conectado. Las respuestas escritas por la empresa en el Hub son de ella y siguen la retención de su cuenta. Al desconectar el canal, eliminamos los datos obtenidos de YouTube en un plazo de hasta 7 días (sección 12.3).

12.3. Cómo desconectar y revocar

La empresa puede desconectar el canal en el Hub, en Integrações › Canais (Integraciones › Canales), en cualquier momento. También puede revocar el acceso en la página de seguridad de la cuenta de Google: https://security.google.com/settings/security/permissions. Al desconectar en el Hub, revocamos la autorización en Google de inmediato y eliminamos el token y los datos obtenidos de la API en un plazo de hasta 7 días.

12.4. Solicitud de eliminación

Quien comentó o escribió en el chat, o la empresa dueña del canal, puede solicitar la eliminación de los datos obtenidos de YouTube mediante el contacto de la sección 14. Los eliminamos en un plazo de hasta 7 días corridos. Esto no elimina el comentario en YouTube: para eso, usa las herramientas del propio YouTube.

12.5. Uso Limitado

Los datos obtenidos de los YouTube API Services siguen las mismas reglas de Uso Limitado de la sección 10.3: se usan solo para mostrar y responder los comentarios y mensajes en la bandeja de entrada de la empresa; no se venden, no se usan para publicidad, no son leídos por personas de Simplafy salvo con autorización de la empresa, por seguridad o por obligación legal, y no se usan para entrenar modelos de IA generalistas.

Al usar estas funciones, aceptas los Términos de Servicio de YouTube. La Política de Privacidad de Google está en https://policies.google.com/privacy.

Simplafy Hub permite que la empresa cliente inicie sesión con su propia cuenta profesional de Instagram, en la pantalla de inicio de sesión del propio Instagram, para recibir y responder los mensajes del Direct dentro del Hub, incluso con el asistente de IA de la organización. Nada de esto ocurre sin que un usuario de la empresa conecte la cuenta.

13.1. Qué le pedimos a Instagram y para qué

• instagram_business_basic: leer el identificador, el @, el nombre, la foto y el número de seguidores de la cuenta conectada, para mostrar en pantalla qué cuenta está conectada y dirigir cada mensaje a la empresa correcta;
• instagram_business_manage_messages: recibir los mensajes del Direct de la cuenta conectada y enviar las respuestas de la empresa;
• instagram_business_manage_comments: solo si la empresa activa la función de comentarios, que viene desactivada — recibir los comentarios de las publicaciones de la cuenta y responderlos.

13.2. Qué tratamos

• Los mensajes intercambiados con la cuenta conectada (texto, fotos, videos, audios, archivos y respuestas a historias) y, si la función está activada, los comentarios de las publicaciones;
• De quien escribe a la empresa: el identificador que Instagram asigna a esa persona, el @, el nombre y la foto de perfil, que pasan a la ficha del contacto en el CRM de la empresa;
• La credencial de acceso de la cuenta conectada, que queda solo en el servicio de canales de Simplafy y nunca se muestra a nadie.

Estos datos forman parte del Contenido del Cliente de esa organización. Simplafy actúa como encargada del tratamiento; la empresa es la responsable de las conversaciones con sus propios clientes.

13.3. Qué no hacemos

No vendemos estos datos, no los usamos para publicidad y no los usamos para entrenar modelos de IA generalistas. Las respuestas siguen las reglas de mensajería de Instagram, que solo permiten responder a quien escribió a la cuenta. Cuando la empresa activa el asistente de IA en el canal, el texto del mensaje se envía al proveedor del modelo de IA elegido por la empresa (gestionado por Simplafy o con la clave de la propia empresa), solo para generar la respuesta de esa atención.

13.4. Por cuánto tiempo los guardamos

Las conversaciones quedan en la bandeja de entrada de la empresa como registro de la atención y siguen la retención de la cuenta (sección 7). El registro técnico de cada aviso recibido de Instagram se elimina automáticamente a los 90 días. Al desconectar, la credencial de acceso se elimina; si Instagram no confirma la desconexión en el momento, se guarda solo para nuevos intentos, por hasta 25 horas; las conversaciones siguen en el Hub hasta que la empresa las elimine o haya una solicitud de eliminación (sección 13.6).

13.5. Cómo desconectar

En el Hub, en Integrações › Canais (Integraciones › Canales), abre el canal de Instagram y usa Desconectar: la Plataforma deja de recibir el Direct de esa cuenta y elimina la credencial de acceso (en hasta 25 horas, si Instagram no confirma en el momento — sección 13.4). También puedes quitar el acceso de la app en la configuración de apps y sitios web del propio Instagram; en ese caso, Instagram nos avisa automáticamente, el canal queda desconectado en el Hub y el historial se conserva.

13.6. Solicitud de eliminación a través de Meta

Cuando el dueño de la cuenta solicita a Instagram (Meta) la eliminación de los datos, recibimos la solicitud automáticamente y eliminamos las conversaciones, los mensajes, los adjuntos y el historial del asistente de IA de esa cuenta, además de la credencial de acceso. Los contactos siguen en el CRM de la empresa: se elimina el identificador de Instagram, pero el nombre, el @ y la foto de perfil de quien escribió siguen en la ficha del contacto. La solicitud solo aparece como concluida después de que eliminamos y volvemos a contar esos datos, y se puede seguir con el código de confirmación, en la dirección indicada por Meta. El registro técnico de los avisos recibidos se elimina en el plazo de 90 días de la sección 13.4.

Las solicitudes sobre estos datos también se pueden enviar al DPO, por el contacto de la sección 14.

El uso de Instagram también está sujeto a las Condiciones de uso de Instagram y a la Política de privacidad de Meta.

Encargado del Tratamiento de Datos (DPO):

• Correo electrónico: fy@simplafy.com.br
• Dirección: SAUS Quadra 4, Bloco A, Sala 513, Asa Sul, Brasília/DF, Brasil
• Plazo de respuesta: 15 días corridos